Aplicación de secretos

Después de configurar la integración de herramientas de Key Protect se puede utilizar para aplicar secretos en cualquier lugar que sean necesarios para la cadena de herramientas. El siguiente ejemplo aplica un secreto que se almacena en Key Protect en una clave de API de IBM Cloud que necesita la integración de herramientas de Pipeline. Puede seguir los mismos pasos para aplicar secretos a cualquiera de las integraciones de herramientas de Continuous Delivery que requieren valores de secretos.

Debe guardar secretos de terceros, como un webhook de Slack o una señal de API de Artifactory, en Key Protect antes de crear una nueva cadena de herramientas. Puede acuñar y almacenar únicamente secretos gestionados por IBM como, por ejemplo, claves de API de IBM Cloud en Key Protect mientras trabaja con la cadena de herramientas.

1. Pulse el icono de clave para recuperar secretos de almacenes seguros como por ejemplo Key Protect para la clave de API de IBM Cloud.

2. En el campo Proveedor, especifique el proveedor y el nombre de la integración de herramientas de Key Protect que utiliza para gestionar los secretos de la cadena de herramientas. Por ejemplo, para utilizar la integración de herramientas de Key Protect, seleccione Key Project: ibm-keyprotect-secrets-1. Puede utilizar otros proveedores para gestionar los secretos de la cadena de herramientas, como por ejemplo Hashicorp Vault.

3. Seleccione un nombre de secreto y pulse Aceptar para aplicar el secreto almacenado en el campo asociado a él.

El nombre del secreto que selecciona aparece en forma de cápsula. No puede editar el nombre secreto en línea, pero puede pulsar el para suprimir el nombre. También puede sustituir el nombre de secreto utilizando de nuevo el control de Secrets Picker. Si escribe o pega manualmente un nombre de secreto en el campo Secretos, se visualiza en un formato distinto:

El formato en el que se muestra el secreto indica si el valor hace referencia a un secreto almacenado en una caja fuerte de fondo o es un secreto almacenado en la cadena de herramientas. Al utilizar referencias a secretos gestionados por proveedores secretos como, por ejemplo, Key Protect, los valores secretos se centralizan y se almacenan de forma segura en una única ubicación. Este enfoque resuelve la expansión y proliferación de los secretos, y significa que puede actualizar los secretos sin actualizar la cadena de herramientas. Cuando se utilizan referencias de secretos, el valor de secreto real se resuelve cuando la cadena de herramientas se ejecuta de forma dinámica recuperándola de Key Protect. Este enfoque resulta útil cuando debe rotar periódicamente el valor de los secretos de la cadena de herramientas.

Adición una integración de herramientas de Key Protect a la plantilla de cadena de herramientas

Puede añadir una integración de herramientas de Key Protect a la plantilla de cadena de herramientas añadiendo una definición de servicio al archivo toolchain.yml en el repositorio de plantilla. Este archivo es el plano de diseño de la cadena de herramientas e incluye todas las integraciones de herramientas que están disponibles al crear una instancia de cadena de herramientas en dicha plantilla. Para personalizar una plantilla de cadena de herramientas existente para que incluye una integración de herramientas de Key Protect, inserte una definición de YAML.

  kp-tool:
    service_id: keyprotect
    parameters:
      name: kp-compliance-secrets
      region: us-south
      resource-group: default
      instance-name: ffs-secrets
      setup-authorization-type: create

En determinados escenarios, puede añadir dinámicamente una integración de herramientas de Key Protect al crear una cadena de herramientas. Por ejemplo, si pulsa Nuevo para acuñar una nueva clave de API, puede marcar el recuadro de selección Guardar esta clave en un almacén de secretos para reutilizarla para guardar la clave de API en una instancia de Key Protect para utilizarla de nuevo más adelante. Si aún no tiene una instancia de Key Protect, se crea una nueva instancia para usted.

Autorización de la cadena de herramientas para acceder a secretos

Las referencias a secretos que se almacenan en Key Protect se resuelven de forma dinámica cuando se ejecuta la cadena de herramientas. Para acceder a los secretos necesarios, debe autorizar la cadena de herramientas para acceder a la instancia de Key Protect. Si está creando una cadena de herramientas a partir de una plantilla, utilice el desplegable Tipo de autorización al configurar la integración de Key Protect. Si está añadiendo una integración de Key Protect a una cadena de herramientas existente, utilice el botón Crear autorización.

Para ver las autorizaciones en IBM Cloud, complete los siguientes pasos:

1. En la consola de IBM Cloud, haz clic en «Gestionar» > « Acceso (IAM) ».
2. Pulse Autorizaciones.

También puedes consultar tus autorizaciones en la página « Gestionar autorizaciones ».

Puede crear la autorización manualmente, si es necesario. Para resolver correctamente las referencias de secretos, la instancia de la cadena de herramientas debe tener acceso de Viewer y ReaderPlus a la instancia de servicio de Key Protect correcta.

Configuración de « Key Protect » mediante la API

La integración de herramientas Key Protect admite los siguientes parámetros de configuración que puede utilizar con la API y los SDK de Toolchain HTTP al crear, leer y actualizar integraciones de herramientas.

Debe especificar la propiedad tool_type_id en el cuerpo de la solicitud con el valor keyprotect.

Más información sobre Key Protect

Para obtener más información sobre Key Protect, consulte Visión general del servicio.